ಸರಪಳಿಯ ಹೆಸರು ಹುಕ್ ಅಲ್ಲ: iptables vs nftables

ಎರಡೂ ಫೈರ್‌ವಾಲ್‌ಗಳು ಮುಂದಕ್ಕೆ ರವಾನೆಯಾಗುವ VPN ಸಂಚಾರವನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಬಹುದು, ಮತ್ತು ಅವು ನಿಯಮಗಳನ್ನು ಪ್ಯಾಕೆಟ್ ಮಾರ್ಗಕ್ಕೆ ಬೇರೆ ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಜೋಡಿಸುತ್ತವೆ. iptables ನಲ್ಲಿ ಕೋಷ್ಟಕದ ಒಳಗೆ ಒಳನಿರ್ಮಿತ ಸರಪಳಿಗಳಿವೆ, ಆದ್ದರಿಂದ FORWARD ಒಂದು ಹೆಸರಿನ ಹುಕ್ ಬಿಂದುವಾಗಿ ಅಸ್ತಿತ್ವದಲ್ಲಿದೆ. nftables ಸರಪಳಿಯ ಹೆಸರನ್ನು ಅದರ ಪ್ರಕಾರ, ಹುಕ್ ಮತ್ತು ಆದ್ಯತೆಯಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ, ಅಂದರೆ FORWARD ಎಂಬ ಹೆಸರಿನ ಸಾಮಾನ್ಯ ಸರಪಳಿ ಏನನ್ನೂ ಫಿಲ್ಟರ್ ಮಾಡುವುದಿಲ್ಲ. ಎರಡು ಮಾದರಿಗಳ ಹೋಲಿಕೆ ಒಂದು ಉಪಕರಣದಲ್ಲಿ ಸರಿ ಎನಿಸುವ ನಮೂದು ಇನ್ನೊಂದರಲ್ಲಿ ಏಕೆ ಪರಿಣಾಮ ಬೀರುವುದಿಲ್ಲ ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಸರಪಳಿ ಒಂದು ಪಾತ್ರೆ. ಕರ್ನಲ್ ಅದನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆಯೇ ಎಂಬುದು ಅನುಷ್ಠಾನ ಮತ್ತು ನಿಯಮ-ಸಮೂಹವು ಅದನ್ನು ಹೇಗೆ ಜೋಡಿಸುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ.

ಎರಡು ಮಾದರಿಗಳು, ಎರಡು ವಿಭಿನ್ನ ಜೋಡಣೆಗಳು

iptables ನಲ್ಲಿ filter ಕೋಷ್ಟಕವು ಮೂರು ಒಳನಿರ್ಮಿತ ಸರಪಳಿಗಳೊಂದಿಗೆ ಬರುತ್ತದೆ, INPUT, FORWARD ಮತ್ತು OUTPUT, ಮತ್ತು -N ಬಳಕೆದಾರ-ವ್ಯಾಖ್ಯಾನಿತ ಸರಪಳಿಯನ್ನು ರಚಿಸುತ್ತದೆ, ಅದು ಅವುಗಳಲ್ಲೊಂದರಿಂದ ಅದಕ್ಕೆ ಜಿಗಿದಾಗ ಮಾತ್ರ ಕಾರ್ಯರೂಪಕ್ಕೆ ಬರುತ್ತದೆ. nftables ಕೈಪಿಡಿ ಬದಲಿಗೆ ಮೂಲ ಸರಪಳಿಗಳನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ, ಅವು ತಮ್ಮ ಪ್ರಕಾರ, ಹುಕ್ ಮತ್ತು ಆದ್ಯತೆಯನ್ನು ಘೋಷಿಸುತ್ತವೆ, ಮತ್ತು ಸಾಮಾನ್ಯ ಸರಪಳಿಗಳನ್ನು, ಅವು ಹಾಗೆ ಮಾಡುವುದಿಲ್ಲ. ಮೂಲ ಸರಪಳಿ ನೀವು ಇಷ್ಟಪಡುವ ಯಾವುದೇ ಹೆಸರನ್ನು ಹೊಂದಬಹುದು, ಮತ್ತು FORWARD ಎಂಬ ಹೆಸರಿನ ಸಾಮಾನ್ಯ ಸರಪಳಿ ತನ್ನ ಲೇಬಲ್‌ನಿಂದ ಯಾವುದೇ ಗುಣವನ್ನು ಪಡೆಯುವುದಿಲ್ಲ. ಅದೇ ಸಂಪೂರ್ಣ ವ್ಯತ್ಯಾಸ, ಮತ್ತು ನಿಯಮದ ಪಠ್ಯವನ್ನು ಮಾತ್ರ ತೋರಿಸುವ ಪಾಠದಲ್ಲಿ ಅದು ಕಾಣುವುದಿಲ್ಲ.

ಹೊಂದಾಣಿಕೆಯ ಬ್ಯಾಕೆಂಡ್‌ಗಳು ಆದೇಶದ ಹೆಸರಿನಿಂದ ವರ್ತನೆಯನ್ನು ಊಹಿಸಬಾರದು ಎಂಬ ಎರಡನೇ ಕಾರಣವನ್ನು ಸೇರಿಸುತ್ತವೆ. iptables ನ ದಸ್ತಾವೇಜು iptables-nft ಅಡಿಯಲ್ಲಿ ಭಿನ್ನವಾಗುವ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ಗಮನಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸ್ಥಳೀಯ nftables, iptables-nft ಮತ್ತು ಹಳೆಯ ನಿಯಮ-ಸಮೂಹವನ್ನು ಒಂದರ ಮೂರು ಕಾಗುಣಿತಗಳಲ್ಲ, ಮೂರು ವ್ಯವಸ್ಥೆಗಳಾಗಿ ಪರಿಗಣಿಸಿ.

ದೋಷವನ್ನು ಅದರ ನಿಜವಾದ ಸಂದರ್ಭದಲ್ಲಿ ಓದಿ

ಕಾಣೆಯಾದ ಕೋಷ್ಟಕ, ಅನುಮತಿ ವೈಫಲ್ಯ, ಲಭ್ಯವಿಲ್ಲದ ಕರ್ನಲ್ ಸೌಲಭ್ಯ ಮತ್ತು ಕಾಣೆಯಾದ ಹೆಸರಿನ ಸರಪಳಿ ನಾಲ್ಕು ವಿಭಿನ್ನ ಕಂಡುಹಿಡಿತಗಳು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದು ಮಾತ್ರ ಸರಪಳಿಗೆ ಸಂಬಂಧಿಸಿದೆ. ಉಪಕರಣದ ಆವೃತ್ತಿ, ಕೋರಿದ ವಿಳಾಸ ಕುಟುಂಬ ಮತ್ತು ಕೋಷ್ಟಕ, ನೆಟ್‌ವರ್ಕ್ ನೇಮ್‌ಸ್ಪೇಸ್ ಮತ್ತು ಮೊದಲ ನಿಖರವಾದ ದೋಷವನ್ನು ದಾಖಲಿಸಿ. ನಂತರ ನಿಯಮ-ಸಮೂಹ ಯಾವ ಘಟಕಕ್ಕೆ ಸೇರಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ: ಫೈರ್‌ವಾಲ್ ಸೇವೆ ಅಥವಾ ಉತ್ಪನ್ನ-ನಿರ್ವಹಿತ ಗೇಟ್‌ವೇ ತಮ್ಮದೇ ಸರಪಳಿಗಳನ್ನು ಮತ್ತು ಕ್ರಮವನ್ನು ಉತ್ಪಾದಿಸಬಹುದು. ಅವುಗಳ ಪಕ್ಕದಲ್ಲಿ ಸ್ಥಳೀಯ ಸರಪಳಿಯನ್ನು ಸೇರಿಸಿದರೆ ನಿರ್ವಹಿತ ನೀತಿ ಅಸ್ಪೃಶವಾಗಿ ಉಳಿಯುತ್ತದೆ ಮತ್ತು ಪಟ್ಟಿ ಇನ್ನಷ್ಟು ಗೊಂದಲಮಯವಾಗುತ್ತದೆ.

ಕಂಟೇನರ್‌ನ ನೇಮ್‌ಸ್ಪೇಸ್ ಹೋಸ್ಟ್‌ಗಿಂತ ಭಿನ್ನವಾದ ನಿಯಮ-ಸಮೂಹವನ್ನು ಹೊಂದಿರಬಹುದು, ಆದ್ದರಿಂದ ತಪ್ಪು ಸಂದರ್ಭದಲ್ಲಿ ಚಲಾಯಿಸಿದ ಆದೇಶ ಯಾವ ಸರಪಳಿ ರವಾನೆಯಾದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ನೋಡಿತು ಎಂದು ತೋರಿಸಲಾಗದು. ನಿರೀಕ್ಷಿತ ಸರಪಳಿ ಕಾಣದ ಕಾರಣಕ್ಕೆ ಸವಲತ್ತುಗಳನ್ನು ಹೆಚ್ಚಿಸುವುದು ರೋಗನಿರ್ಣಯವಲ್ಲ.

ಕೌಂಟರುಗಳು ತಲುಪುವಿಕೆಯನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತವೆ, ತೀರ್ಪನ್ನಲ್ಲ

ನಿಯಮ ಕೌಂಟರ್‌ಗಳು ನಿಯಮವೊಂದನ್ನು ತಲುಪಲಾಗಿದೆ ಎಂದು ಹೇಳುತ್ತವೆ. ನಂತರದ ನಿಯಮ ಕಾರ್ಯಾಚರಣೆಗೆ ಅನುಮತಿ ನೀಡಿತು ಎಂದು ಅವು ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಪ್ರತಿ ಪರ್ಯಾಯ ಮಾರ್ಗವೂ ನಿರಾಕರಿಸಲ್ಪಟ್ಟಿತು ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಒಂದು ಹಾನಿಕರವಲ್ಲದ ಅಧಿಕೃತ ಹರಿವಿನ ಸಮಯದಲ್ಲಿ, ನಿಯಮ ಕ್ರಮ ಮತ್ತು ಸರಪಳಿ ಜೋಡಣೆಯೊಂದಿಗೆ ಅವುಗಳನ್ನು ಓದಿ, ಮತ್ತು ತೀರ್ಪಿನಂತಲ್ಲ, ಒಂದು ವೀಕ್ಷಣೆಯಂತೆ ಪರಿಗಣಿಸಿ. drop ನಿಯಮದಲ್ಲಿ ಶೂನ್ಯವಲ್ಲದ ಕೌಂಟರ್ ಎಂದರೆ ಸಂಚಾರ ಅದಕ್ಕೆ ತಾಗಿದೆ; ತಾಗದ ಸಂಚಾರದ ಬಗ್ಗೆ ಅದು ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.

ಕರ್ನಲ್ IP ರವಾನೆ ಸಂಪೂರ್ಣವಾಗಿ ಪ್ರತ್ಯೇಕ ಸೆಟ್ಟಿಂಗ್. ಸರಪಳಿ ಇರುವುದು ರವಾನೆಯನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಪರಿಚಿತ ಲೇಬಲ್ ಇಲ್ಲದಿರುವುದು ರವಾನೆ ನಿಂತಿದೆ ಎಂದು ಅರ್ಥವಲ್ಲ.

ನೀವು ರಕ್ಷಿಸಲು ನಿರೀಕ್ಷಿಸುವ ಹರಿವನ್ನು ವಿವರಿಸಿ

ಡೀಕ್ಯಾಪ್ಸುಲೇಶನ್ ನಂತರ ಒಂದು ಕ್ಲೈಂಟ್ ವಿನಂತಿಯನ್ನು ಬರೆಯಿರಿ: ಅದರ ಮೂಲ, ಅದರ ಗಮ್ಯಸ್ಥಾನ, ವಿಳಾಸ ಕುಟುಂಬ, ಮತ್ತು ಅದು ಗೇಟ್‌ವೇನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆಯೇ ಅಥವಾ ಅದರ ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆಯೇ. ಸ್ಥಳೀಯ ಸೇವೆಯ ಇನ್‌ಪುಟ್ ಮತ್ತು ರವಾನೆಯಾದ ಸಂಚಾರ ಬೇರೆ ಬೇರೆ ಬಿಂದುಗಳಲ್ಲಿ ಗಮನಿಸಲ್ಪಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಅವು ಬೇರೆ ನಿಯಮಗಳು ಮತ್ತು ಬೇರೆ ಪರೀಕ್ಷೆಗಳನ್ನು ಬೇಕಾಗುತ್ತವೆ. ಸೇತುವೆಯ VPN ಗಾಗಿ ಸೇತುವೆ ಮಾರ್ಗವನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ IP ಮಟ್ಟದ ಸರಪಳಿ Ethernet ಚೌಕಟ್ಟುಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ನಿಯಂತ್ರಿಸುವುದಿಲ್ಲ.

ದೂರದ ಗೇಟ್‌ವೇ ಬದಲಿಸುವ ಮೊದಲು ಸ್ವತಂತ್ರ ಚೇತರಿಕೆ ಪ್ರವೇಶವನ್ನು ಕಾಪಾಡಿಕೊಳ್ಳಿ. ನಂತರ ಅದೇ ನಿಯಮ-ಸಮೂಹದ ಅಡಿಯಲ್ಲಿ ಉದ್ದೇಶಿತ ಹರಿವು ಮತ್ತು ಅಗತ್ಯ ನಿರಾಕರಣೆಗಳನ್ನು ದೃಢೀಕರಿಸಿ. ಪರಿಚಿತ ಹೆಸರಿನ ಹೊಸ ಖಾಲಿ ಸರಪಳಿ ದುರಸ್ತಿಯಲ್ಲ.

ಹೋಲಿಕೆ ಒಂದೇ ಪ್ರಶ್ನೆಯಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ: ಈ ಪ್ಯಾಕೆಟ್‌ಗಾಗಿ ಕರ್ನಲ್ ನಿಜವಾಗಿ ಯಾವ ಹುಕ್ ಅನ್ನು ಕರೆಯುತ್ತದೆ? ಅದಕ್ಕೆ ಉತ್ತರಿಸಿ, ಸರಪಳಿಯ ಹೆಸರು ಮುಂದೆ ಮುಖ್ಯವಾಗುವುದಿಲ್ಲ.